Podriadená SA IPsec je hore, ale počítadlá paketov zostávajú na nule

Tunel ste zdvihli, časovač obnovy kľúčov odpočítava a oba smery stále ukazujú nula paketov. Nič v tej dvojici čísel nehovorí, že peer odmietol váš tunel: nainštalovaná CHILD SA s nečinnými počítadlami je normálny stav asociácie, s ktorou sa zatiaľ nič nezhodovalo. Úlohou je dokázať, že paket sa mal zhodovať, a potom nájsť bod, kde opustil cestu opísanú selektormi. Urobte to raz, v poradí, a udržujte požiadavku rovnakú medzi behmi.

Čo nulové počítadlo skutočne dokazuje

CHILD SA je pár selektorov plus kľúče a SPI, ktoré šifrujú prevádzku spadajúcu do týchto rozsahov. Nainštalovať ju znamená len to, že obe strany sa zhodli na týchto rozsahoch a odvodených kľúčoch; jadro ju bude držať hodiny bez toho, aby prišiel jediný paket. Otázka teda nikdy nie je, či tunel existuje, ale či nejaký paket odoslaný vaším testom spadol do rozsahov vyjednaných oboma peer-mi. Ak žiadny nespadol, počítadlá zostanú na nule a asociácia vyprší nevyužitá na konci svojej životnosti.

Tento rozdiel mení to, čo skúmate najskôr. Odmietnutý návrh, zlyhanie autentifikácie alebo umierajúca IKE SA sa objavia v logu alebo v zozname SA, nie ako tiché nulové číslo. Tunel, ktorý sa čisto vyjedná a potom zostane nečinný, ukazuje skôr na zhodu, smerovanie alebo pôvod testovacej prevádzky.

Pošlite tok, ktorý dokážete opísať pred odoslaním

Vyberte cieľ v chránenej podsieti a otvorte k nemu nové spojenie; stránka načítaná pred hodinou môže prísť z vyrovnávacej pamäte a odpoveď z pamäte sa tunela nikdy nedotkne. Potom zapíšte štyri hodnoty, kým je požiadavka ešte hypotetická: zdrojovú adresu, ktorú aplikácia naviaže, cieľ, rodinu adries a názov alebo pár selektorov podriadenej SA, ktorú sledujete. Práve tento záznam mení ploché počítadlo na overiteľné tvrdenie.

Zdrojová adresa je hodnota, ktorú ľudia preskakujú, a práve tá najčastejšie kazí test. Notebook s káblovou adresou, adresou Wi-Fi a adresou tunela môže naviazať ktorúkoľvek z nich podľa vyhľadania trasy, a len jedna môže ležať vo vyjednanom rozsahu. Použite nástroj, ktorý umožňuje pripnúť zdroj, napríklad ping -I 10.1.0.5 10.2.0.9 alebo curl --interface 10.1.0.5, aby si paket nemohol potichu vybrať inú adresu. Keď pripnutý beh pohne počítadlami a nepripnutý nie, našli ste problém smerovania, nie problém IPsec.

Ktoré čísla čítať a kde bývajú

V systéme Linux ip -s xfrm state vypisuje každú asociáciu s riadkom lifetime current:, ktorého súčet bajtov a súčet paketov patria len tejto SA, za ním nasleduje riadok stats: s počtami opakovaní a chýb. Na peer-i strongSwan swanctl --list-sas vypisuje jeden riadok in a jeden riadok out pre každú nainštalovanú podriadenú SA, každý sa končí počtom bajtov a počtom paketov; staršie nástroje stroke nazývajú ten istý pár bytes_i a bytes_o. Čítajte oba smery oddelene, pretože ten, ktorý zostal plochý, je nález. Ich sčítanie skrýva presne tú asymetriu, ktorú hľadáte.

Oba pohľady sú na asociáciu, takže obnova kľúčov nainštaluje nový pár SPI a vaša základná čiara sa vráti na nulu bez toho, aby sa čokoľvek pokazilo. Zapíšte si SPI, ktorý sledujete, skôr než časovač obnovy kľúčov zaberie, inak porovnáte novú SA so starým číslom. Ak odchádzajúca prevádzka rastie, kým prichádzajúca zostáva plochá, selektor sa zhodoval a odpoveď sa nikdy nevrátila, čo presúva vyšetrovanie na preposielanie peer-a a jeho vlastnú politiku. Dokumentácia ku konfigurácii IKEv2 strongSwana pokrýva životný cyklus podriadenej SA a čas obnovy kľúčov za týmito číslami.

Miesto pozorovania je samostatná premenná od pôvodu paketu. Hardvérové odľahčenie môže zvyšovať počítadlá asociácie, kým softvérové zachytenie na rozhraní nič neukazuje, pretože odľahčené pakety obchádzajú hák, na ktorom zachytenie sedí, a prichádzajúca prevádzka sa môže odchyľovať rovnako. Keď sa tieto dva zdroje nezhodujú, použite počítadlá na odpoveď, či sa niečo zhodovalo, a zachytenie na odpoveď, ako paket vyzeral.

Trasa, selektory a kde sa paket narodil

Porovnajte tri veci vedľa seba: trasu, ktorú jadro vyberie pre váš cieľ, politiku, ktorá usmerňuje prevádzku do tunela, a pár selektorov vyjednaný podriadenou SA. ip route get 10.2.0.9 from 10.1.0.5 pomenúva rozhranie a zdroj, ktoré by jadro použilo, čo často nie je pár, ktorý ste predpokladali. ip xfrm policy ukazuje šablóny a selektory nainštalované lokálne, kým swanctl --list-sas ukazuje, na čom sa peer zhodol. Vyhľadanie, ktoré pošle paket cez fyzické rozhranie, sa k politike vôbec nedostane, takže počítadlá sa nemôžu pohnúť.

Nezhody prichádzajú v niekoľkých podobách, ktoré z počítadla vyzerajú rovnako. Cieľ IPv6 mimo selektora IPv4, zdrojová adresa z nesprávnej podsiete a politika užšia ako podriadená SA dávajú všetky tú istú nulu. Najprv opravte najužšiu príčinu, pretože rozšírenie selektora len preto, aby ste posunuli číslo, mení to, čo tunel chráni.

Potom je tu pôvod paketu, pasca, ktorú brána nastavuje vlastnému operátorovi. Prevádzka, ktorú brána generuje sama, sa porovnáva s výstupnou politikou, kým paket, ktorý preposiela za klienta, sa porovnáva s politikou preposielania, takže ping z krabice môže uspieť na ceste, ktorou nikdy nejde žiadny klient.

Jedna vratná zmena a správa, ktorá prežije recenziu

Zmeňte jeden prvok, zopakujte identickú požiadavku a prečítajte tie isté počítadlá. Vymazanie všetkých pravidiel firewallu alebo výmena všetkých selektorov naraz pohne číslom a zničí dôkazy, ktoré vám povedali prečo. Ak druhý beh stále ukazuje nulu, odstránili ste jednu hypotézu namiesto toho, aby ste premrhali popoludnie.

Zapíšte nález vo forme, ktorú niekto iný dokáže zopakovať: názov podriadenej SA, prijaté rozsahy, zdroj, ktorý ste pripli, cieľ, ktorý ste testovali, smer, ktorý zostal na nule, a SPI, ktorý ste čítali. Tá veta oddeľuje asociáciu, ktorú nikto nepoužil, od vzdialenej aplikácie, ktorá prevádzku prijala a odmietla. Vráťte zmenu späť, keď nepohla počítadlami, a záznam si ponechajte; ďalší človek začne tam, kde ste skončili. Nič v tuneli nebolo treba prestavať, a o to ide pri kontrole zhody predtým, než sa dotknete konfigurácie.